CVE-2026-94456

Postiz, kriptografik olarak güvenli bir kaynak yerine `Math.random()` kullanarak güvenlik açısından hassas kimlik bilgileri oluşturmaktadır. Aynı yardımcı fonksiyon; OAuth erişim belirteçleri, yetkilendirme kodları, istemci sırları, organizasyon API anahtarları ve PKCE doğrulayıcıları için kullanılmaktadır; bu da söz konusu kimlik bilgilerinin tamamen V8'in deterministik xorshift128+ PRNG durumuna bağlı olduğu anlamına gelir. Kimlik doğrulaması gerektirmeyen bir OAuth dinamik istemci kayıt uç noktası, yeni oluşturulmuş istemci kimlik bilgilerini ifşa ederek saldırganlara bu dahili durumu yeniden yapılandırmak için yeterli miktarda ardışık PRNG çıktısı sağlar. Bu durum geri kazanıldığında, aynı oluşturucu tarafından üretilen geçmiş ve gelecek değerler deterministik olarak türetilebilir ve bu da diğer kullanıcılara ve organizasyonlara ait kimlik bilgilerinin potansiyel olarak tehlikeye girmesine yol açabilir.